“AI 서비스서 통화 내용이 샜다”...통신사 보안체계 ‘전면 점검’ 불가피

▲LG유플러스 인공지능(AI) 통화 애플리케이션(앱) '익시오'의 통화정보가 유출됐다.

LG유플러스의 인공지능(AI) 통화 요약 서비스 '익시오'에서 이용자들의 통화 내용이 다른 사용자에게 노출되는 사고가 발생하면서 소비자 불안이 커지고 있다. 최근 SK텔레콤의 대규모 개인정보 유출, KT의 서버 해킹 및 무단결제 사고에 이어 통신사 보안사고가 연달아 터지며 보안 체계 전반에 대한 우려가 다시 고개를 들고 있다.

7일 업계에 따르면 LG유플러스는 지난 2일 오후 8시부터 3일 오전 10시 59분까지 '익시오'를 신규 설치하거나 재설치한 이용자 101명에게 다른 고객 36명의 통화 요약문, 통화 상대 전화번호, 통화 시각 등이 노출되는 사고가 있었다고 밝혔다.

회사 측은 주민등록번호·여권번호 등 고도의 민감 정보나 금융 정보는 빠져 있었으며, 법정 신고 요건(유출 인원 1000명 이상 또는 민감정보 포함)에 해당하지 않지만 자발적으로 개인정보보호위원회에 신고했다고 설명했다.

그러나 통화 내용이라는 민감한 정보가 약 14시간 동안 외부로 노출된 데다, 회사 자체 감지가 아닌 이용자 신고로 사고가 드러났다는 점에서 비판은 피하기 어려울 전망이다.

LG유플러스는 이번 사고가 해킹이 아닌 내부 시스템 오류에서 비롯됐다고 해명했다. AI 통화기록과 요약 파일을 저장하는 익시오 서버 기능 개선 과정에서 오류가 발생했다는 것이다.

문제는 이러한 사고가 이번이 처음이 아니라는 점이다. LG유플러스는 지난 10월에도 내부자 계정을 관리하는 권한관리 시스템(APPM) 서버가 해킹된 정황을 한국인터넷진흥원(KISA)에 신고했다. 이는 KISA가 7월 화이트해커 제보를 통해 해당 공격 가능성을 통보한 지 약 3개월 만에 이뤄진 조치다. 당시 미국 보안매체 프랙은 해커 조직이 외주 보안업체 시큐어키를 침해해 확보한 계정으로 LG유플러스 내부망에 침입했으며, 이로 인해 8938대 서버 정보, 4만2256개 계정, 167명의 직원 정보가 빠져나갔다고 보도했다. 다만 회사는 관련 정보가 유출된 사실은 인정하면서도 “피해는 확인되지 않았다"고 했다.

통신사들의 보안 사고는 올해 들어 연달아 이어지고 있다. 지난 4월 SK텔레콤에서는 가입자 대부분에 해당하는 2324만 명의 휴대전화번호·가입자식별번호(IMSI)·유심 인증키(Ki·OPc) 등 25종 정보가 해커에게 넘어가 '유심 교체 대란'이 벌어졌다. KT에서도 지난해 10월까지 관리 사각지대에 있던 불법 기지국이 해커의 침입 통로가 된 사실이 확인됐고, 올해 3~7월에는 악성코드 감염 서버 43대를 발견하고도 이를 당국에 보고하지 않은 채 자체 조치한 사실이 드러나 '허술한 보안 관리' 논란이 일었다. 이어 KT 가입자 362명이 자신도 모르는 사이 2억4000만원 규모의 소액결제를 당한 초유의 사고도 발생했다.

업계에서는 국민의 민감한 정보를 다루는 기간 산업인 통신사들의 보안 역량이 현재와 같은 수준에 머물 경우, 통신 서비스와 AI의 결합이 가속화되면서 보안 취약점이 더 커질 수 있다는 우려가 제기된다.

정부는 최근 통신 3사를 대상으로 사전 예고 없는 '실제 해킹 방식'의 불시 점검을 시행하는 등 보안 강화 압박을 높이고 있다. 아울러 쿠팡 정보 유출 사태 등을 계기로 개인정보보호 관리체계(ISMS-P) 인증이 형식적으로 운영돼 왔다는 지적이 잇따르자 인증제 사후 관리와 심사 기준을 대폭 강화하겠다고 밝혔다.

서예온 기자 pr9028@ekn.kr